Ein Hackerangriff auf den Unternehmensserver, ein verlorenes Notebook mit unverschlüsselten Kundendaten, ein versehentlich falsch adressierter E-Mail-Verteiler — solche Vorfälle treffen mittelständische Unternehmen regelmäßig unvorbereitet. Was dann zählt, ist nicht allein die technische Schadenbegrenzung, sondern vor allem eine Frage, die sofort auf dem Tisch liegt: Wann genau beginnt die Meldepflicht nach Art. 33 DSGVO, und was passiert, wenn die Frist verstreicht?
Tritt eine Verletzung des Schutzes personenbezogener Daten ein, ist der Verantwortliche nach Art. 33 DSGVO verpflichtet, die zuständige Datenschutzbehörde unverzüglich, spätestens binnen 72 Stunden nach Bekanntwerden zu benachrichtigen. Die Frist gilt auch dann, wenn noch nicht alle Informationen vorliegen; eine ergänzende Meldung ist zulässig. Bei nachweislich geringer Beeinträchtigung für Betroffene entfällt die Meldepflicht — doch die Beweislast liegt beim Verantwortlichen.
Dieser Beitrag analysiert den Regelungsrahmen des Art. 33 DSGVO, beleuchtet die Abgrenzungsfragen zur Benachrichtigungspflicht gegenüber Betroffenen nach Art. 34 DSGVO, diskutiert typische Fallstricke in der Unternehmenspraxis und zeigt auf, welche organisatorischen Vorkehrungen das Haftungsrisiko für Geschäftsführer mittelständischer Unternehmen spürbar reduzieren.
Art. 33 DSGVO: Norminhalt und Tatbestandsvoraussetzungen im Überblick
Art. 33 DSGVO begründet für jeden Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO eine unmittelbare Pflicht zur Meldung von Datenschutzverletzungen an die zuständige Aufsichtsbehörde. Der Tatbestand setzt drei Elemente voraus: eine Verletzung des Schutzes personenbezogener Daten, das Bekanntwerden dieses Vorfalls beim Verantwortlichen sowie das Ausbleiben des Ausnahmetatbestands für vernachlässigbare Risiken.
Der Begriff der „Verletzung des Schutzes personenbezogener Daten" ist weit gefasst. Er umfasst nach Art. 4 Nr. 12 DSGVO jede Verletzung der Sicherheit, die zur unbeabsichtigten oder rechtswidrigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Entscheidend ist, dass alle drei Kategorien — Vertraulichkeit, Integrität und Verfügbarkeit — unter den Tatbestand fallen. Auch der temporäre Ausfall eines Systems, der den Zugang zu Gesundheitsdaten unterbricht, kann meldepflichtig sein.
Das Kriterium des „Bekanntwerdens" ist in der Praxis besonders relevant. Die 72-Stunden-Frist beginnt in dem Moment, in dem der Verantwortliche — oder einer seiner Mitarbeiter in leitender Funktion — hinreichend sichere Kenntnis von einem Vorfall erlangt, der als Datenschutzverletzung qualifiziert werden kann. Die Datenschutzaufsichtsbehörden und der Europäische Datenschutzausschuss (EDSA) haben klargestellt, dass ein bloßer Anfangsverdacht die Frist auslösen kann, sofern eine Datenschutzverletzung hinreichend wahrscheinlich erscheint. Wer also auf Beweissicherung wartet, bevor er überhaupt intern prüft, riskiert eine Fristversäumnis.
Was bedeutet das für die Unternehmenspraxis? Zunächst eine klare Anforderung an interne Meldewege: Techniker, Systemadministratoren und externe Dienstleister müssen verpflichtet sein, jeden sicherheitsrelevanten Vorfall unverzüglich an eine definierte Kontaktstelle — in der Regel den betrieblichen oder externen Datenschutzbeauftragten — zu melden. Fehlt dieser interne Kanal, verschluckt die Organisation wertvolle Stunden.
Was muss die Meldung enthalten — und was, wenn Informationen fehlen?
Art. 33 Abs. 3 DSGVO beschreibt den Mindestinhalt der Meldung an die Aufsichtsbehörde. Erforderlich sind: eine Beschreibung der Art der Verletzung einschließlich der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen sowie die ergriffenen oder geplanten Abhilfemaßnahmen.
In der Praxis liegen diese Informationen nach 72 Stunden häufig noch nicht vollständig vor — insbesondere bei komplexen Angriffen oder schleichenden Datenverlustszenarien. Hier greift Art. 33 Abs. 4 DSGVO: Die Meldung darf in Phasen erfolgen. Eine Erstmeldung mit den bekannten Informationen unterbricht die Frist und schützt vor der Folge einer verspäteten Meldung — vorausgesetzt, fehlende Informationen werden unverzüglich nachgereicht. In der Mandatspraxis sehen wir, dass Unternehmen diesen Mechanismus zu selten nutzen und stattdessen auf Vollständigkeit warten, was die Aufsichtsbehörde regelmäßig als Pflichtverletzung wertet.
Welches Format und welchen Kanal verlangen die Behörden? Die meisten deutschen Datenschutzbehörden — darunter der Bayerische Landesbeauftragte für den Datenschutz (BayLDA) und die Berliner Beauftragte für Datenschutz und Informationsfreiheit — stellen Online-Meldeportale zur Verfügung. Eine formlose E-Mail kann im Einzelfall ausreichen, wenn das Portal ausnahmsweise nicht erreichbar ist; in jedem Fall ist die Behörde unverzüglich auf dem nächsten verfügbaren Weg zu kontaktieren. Nach unserer Erfahrung empfiehlt sich eine parallele Dokumentation über alle genutzten Kanäle, um den Zeitpunkt der Meldung im Nachhinein lückenlos belegen zu können.
Wann entfällt die Meldepflicht — und wer trägt die Beweislast?
Art. 33 Abs. 1 DSGVO enthält eine bedeutsame Ausnahme: Die Meldepflicht entfällt, wenn die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen" führt. Diese Ausnahme klingt nach einem bequemen Ausweg — ist es aber nicht.
Erstens: Die Schwelle liegt niedrig. Bereits ein geringfügiges Risiko — etwa die theoretische Möglichkeit, dass Dritte auf Namen und E-Mail-Adressen zugreifen konnten — reicht aus, um die Meldepflicht auszulösen. Nur wenn das Risiko mit an Sicherheit grenzender Wahrscheinlichkeit ausgeschlossen werden kann, greift die Ausnahme. Pseudonymisierte Daten, bei denen der Schlüssel sicher verwahrt ist und keine Rückschlüsse möglich sind, können einen solchen Fall begründen — aber auch hier ist eine sorgfältige Einzelfallwürdigung notwendig.
Zweitens: Die Beweislast liegt beim Verantwortlichen. Nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) muss das Unternehmen jederzeit nachweisen können, warum es keine Meldung erstattet hat. Fehlt eine schriftliche, zeitnahe Risikobewertung, die das Unterschreiten der Risikoschwelle begründet, ist die Ausnahme im Nachhinein kaum noch vertretbar. In der Praxis führt genau dieser Dokumentationsmangel zu den meisten vermeidbaren Bußgeldverfahren.
Drittens unterscheidet die DSGVO zwischen zwei Risikoniveaus: Das „einfache Risiko" löst die Meldepflicht gegenüber der Behörde aus (Art. 33). Ein „hohes Risiko" für die betroffenen Personen begründet darüber hinaus die Benachrichtigungspflicht nach Art. 34 DSGVO — also die direkte Information der Betroffenen. Diese Stufung hat erhebliche praktische Konsequenzen, denn die Benachrichtigung von Kunden, Mitarbeitern oder Geschäftspartnern erzeugt Reputationsrisiken, die weit über das regulatorische Bußgeld hinausgehen können.
Art. 34 DSGVO: Wann müssen Betroffene direkt benachrichtigt werden?
Wo zieht die DSGVO die Grenze zwischen der Behördenmeldung und der Benachrichtigung von Betroffenen? Art. 34 Abs. 1 DSGVO verlangt die direkte Benachrichtigung, wenn die Verletzung „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge" hat. Das Merkmal „hohes Risiko" überschreitet das für Art. 33 ausreichende „einfache Risiko" — die Schwelle ist also höher, aber das Tatbestandsmerkmal bleibt unbestimmt.
Der EDSA hat in seinen Leitlinien (Guidelines 01/2021 on Examples regarding Data Breach Notification) typische Hochrisikosituationen konkretisiert: Offenlegung von Gesundheitsdaten, finanziellen Daten oder besonders sensiblen Informationen, die für Identitätsdiebstahl oder Diskriminierung genutzt werden können. Ebenso erfasst sind Vorfälle, bei denen ein Angreifer nachweislich Zugriff auf Zugangsdaten erlangt hat, die für weitere Angriffe verwendet werden könnten. Für den Mittelstand besonders relevant: Kundendaten aus dem E-Commerce, Patientendaten in Arztpraxen oder mittelgroßen Kliniken sowie Mitarbeiterdaten mit Sozialversicherungs- oder Kontoinformationen.
Die Benachrichtigung nach Art. 34 DSGVO muss in klarer und einfacher Sprache erfolgen und mindestens die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen enthalten. Eine bloße allgemeine Pressemitteilung genügt grundsätzlich nicht; sie ist nur dann zulässig, wenn eine individuelle Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde (Art. 34 Abs. 3 lit. c DSGVO).
Nach unserer Erfahrung unterschätzen Unternehmen regelmäßig den Zeitdruck bei Art. 34 DSGVO. Während die Behördenmeldung eine klare 72-Stunden-Frist kennt, verlangt Art. 34 Abs. 1 DSGVO die Benachrichtigung „unverzüglich" — was die Aufsichtsbehörden in aller Regel als sofortige, zumindest gleichzeitige Reaktion verstehen.
Welche Bußgelder und Haftungsrisiken drohen dem Mittelstand konkret?
Der Bußgeldrahmen des Art. 83 DSGVO ist bekannt, wird aber in seiner praktischen Wirkung für den Mittelstand häufig falsch eingeschätzt. Verstöße gegen die Meldepflichten nach Art. 33 und 34 DSGVO können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder — bei Unternehmen — bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Verstöße gegen die Grundprinzipien der DSGVO (Art. 5, 6, 9) können sogar bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen.
Für ein mittelständisches Unternehmen mit einem Jahresumsatz von beispielsweise 50 Millionen Euro bedeutet die 2-Prozent-Schwelle ein abstraktes Bußgeldrisiko von bis zu einer Million Euro — allein für eine verspätete oder unterlassene Meldung. In der Realität sind die verhängten Bußgelder in Deutschland bisher oft niedriger, doch die Aufsichtsbehörden schöpfen den Rahmen seit 2021 zunehmend aus. Kooperation, Nachsorgemaßnahmen und eine lückenlose Dokumentation können bußgeldmindernd wirken — dies setzt jedoch voraus, dass das Unternehmen von Beginn an proaktiv vorgeht.
Neben dem behördlichen Bußgeld droht die zivilrechtliche Haftung nach Art. 82 DSGVO. Betroffene Personen können Schadensersatz geltend machen, wobei der Europäische Gerichtshof (EuGH) in seiner Rechtsprechung klargestellt hat, dass auch immaterieller Schaden — etwa Kontrollverlust über eigene Daten — ersatzfähig ist. Die genauen Anforderungen an die Schadensschwelle sind noch Gegenstand kontroverser Diskussion in der europäischen Rechtsprechungslandschaft, die Tendenz geht jedoch klar in Richtung einer niedrigschwelligen Haftung.
Für Geschäftsführer einer GmbH kommt eine persönliche Haftung im Innenverhältnis hinzu. Verletzt die Geschäftsführung ihre Organisationspflichten — also die Pflicht, interne Meldewege, einen Datenschutzbeauftragten (soweit gesetzlich vorgeschrieben) und ein Reaktionsprotokoll einzurichten — und führt dies zu einem Bußgeld für die Gesellschaft, kann die Gesellschaft nach Maßgabe des Gesellschaftsrechts Regress nehmen. Das ist kein theoretisches Szenario: Wir beraten regelmäßig Unternehmen, bei denen nach einer Datenpanne nicht nur die DSGVO-Compliance-Fragen zu klären sind, sondern auch die gesellschaftsrechtliche Haftungssituation der handelnden Personen.
Die Rolle des Auftragsverarbeiters — und warum der AVV-Inhalt entscheidend ist
Zahlreiche Datenpannen im Mittelstand entstehen nicht intern, sondern bei Dienstleistern: Cloud-Anbietern, IT-Systemhäusern, Lohnbuchhaltungsdiensten oder E-Commerce-Plattformanbietern. In diesen Konstellationen greift Art. 28 DSGVO — der Auftragsverarbeiter (AVV) ist das maßgebliche Vertragsinstrument.
Nach Art. 33 Abs. 2 DSGVO ist der Auftragsverarbeiter verpflichtet, eine Datenschutzverletzung dem Verantwortlichen „unverzüglich" zu melden, nachdem er Kenntnis erlangt hat. Die 72-Stunden-Frist des Verantwortlichen beginnt jedoch erst mit dessen eigenem Bekanntwerden — allerdings kann eine verzögerte Meldung durch den Auftragsverarbeiter dazu führen, dass dem Verantwortlichen faktisch kaum noch Zeit für eine fristgerechte Behördenmeldung bleibt.
Der AVV muss daher zwingend eine konkrete Meldefrist für den Auftragsverarbeiter enthalten — üblicherweise 24 Stunden nach eigenem Bekanntwerden. Ein AVV, der nur pauschal auf „unverzügliche" Meldung verweist, ohne eine Stundenzahl zu nennen, ist in der Praxis unzureichend. Fehlen diese Regelungen oder fehlt der AVV ganz, haftet der Verantwortliche für die Verstöße des Auftragsverarbeiters und kann sich gegenüber der Aufsichtsbehörde nicht exkulpieren.
Darüber hinaus sollten AVV-Klauseln die Frage regeln, wer bei einem Vorfall mit der Aufsichtsbehörde kommuniziert, welche Unterstützungsleistungen der Auftragsverarbeiter schuldet (Art. 28 Abs. 3 lit. f DSGVO) und wie der Nachweis der Meldung geführt wird. Diese Vertragsgestaltung ist in der Praxis oft der entscheidende Unterschied zwischen einer geordneten Reaktion und einem unkontrollierten Krisengeschehen.
Aus der Mandatspraxis: Die Kanzlei beriet ein mittelständisches Logistikunternehmen aus dem Bereich Kontraktlogistik nach einem Ransomware-Angriff auf einen IT-Dienstleister. Ausgangslage: Der Dienstleister meldete den Vorfall erst 38 Stunden nach eigener Kenntnis an das Unternehmen; der AVV sah lediglich „unverzügliche" Meldung ohne Stundenvorgabe vor. Vorgehen: Sofortige Prüfung der betroffenen Datenkategorien (Personalstammdaten, Frachtdokumente mit Kundendaten), Koordination der Erstmeldung an die zuständige Aufsichtsbehörde noch innerhalb der verbleibenden Restfrist, Nachlieferung ergänzender Informationen in zwei weiteren Meldephasen. Parallel wurde der AVV nachverhandelt und eine Meldefrist von 24 Stunden verbindlich vereinbart. Ergebnis: Die Aufsichtsbehörde stellte die Fristwahrung fest; das Bußgeldverfahren wurde nach Nachbesserungsnachweis eingestellt. Das Unternehmen richtete anschließend ein strukturiertes Incident-Response-Protokoll ein.
Interne Vorbereitung: Das Incident-Response-Protokoll als Kernstück der DSGVO-Compliance
Wie gut ein Unternehmen auf eine Datenpanne reagiert, entscheidet sich nicht erst im Ereignisfall — sondern Monate vorher. Ein funktionierendes Incident-Response-Protokoll ist kein Luxus für Konzerne, sondern eine Grundanforderung der DSGVO-Compliance für jeden Verantwortlichen, unabhängig von der Unternehmensgröße.
Welche Elemente sind zwingend? Erstens: Eine klare interne Meldestruktur, die sicherstellt, dass Sicherheitsvorfälle innerhalb von maximal zwei Stunden nach interner Kenntniserlangung beim Datenschutzbeauftragten oder der zuständigen Führungskraft ankommen. Zweitens: Eine vorbereitete Risikobewertungsmatrix, die für die häufigsten Vorfallstypen (Phishing, Gerätediebstahl, Fehlversand) vorprüft, ob ein Risiko oder hohes Risiko vorliegt. Drittens: Vorgefertigte Meldeformulare für die zuständige Aufsichtsbehörde, die im Ereignisfall nur noch mit spezifischen Fakten befüllt werden müssen. Viertens: Ein dokumentierter Kommunikationsplan für Art. 34-Szenarien, einschließlich genehmigter Textbausteine für Betroffenenbenachrichtigungen.
Nach unserer Erfahrung investieren mittelständische Unternehmen zu wenig in die Übung dieser Abläufe. Ein jährlicher Tabletop-Exercise — eine simulierte Datenpanne, bei der das verantwortliche Team die Reaktionskette durchspielt — deckt regelmäßig Lücken auf, die sich im echten Ernstfall als kritisch erweisen. Die Kosten für eine solche Übung sind marginal im Vergleich zu den Konsequenzen einer verspäteten Meldung.
Besonders relevant für inhabergeführte Unternehmen und Familiengesellschaften: Wer ist vertreten, wenn der Datenschutzbeauftragte im Urlaub ist? Wer trifft die Entscheidung über die Meldung, wenn die Geschäftsführung nicht erreichbar ist? Diese Stellvertreterregelungen müssen schriftlich fixiert und im System hinterlegt sein — sie sind bei einer Prüfung durch die Aufsichtsbehörde nachzuweisen.
Grenzüberschreitende Datenpannen: Welche Behörde ist zuständig?
Agiert ein Unternehmen grenzüberschreitend innerhalb der Europäischen Union oder verarbeitet es Daten von Personen in mehreren Mitgliedstaaten, stellt sich die Frage der behördlichen Zuständigkeit nach dem „One-Stop-Shop"-Prinzip des Art. 56 DSGVO. Die federführende Aufsichtsbehörde richtet sich nach dem Ort der Hauptniederlassung des Verantwortlichen.
Für ein deutsches Unternehmen mit Hauptniederlassung in Bayern ist dies grundsätzlich der Bayerische Landesbeauftragte für den Datenschutz (BayLDA). Ist die Datenpanne jedoch auf eine Niederlassung in einem anderen Mitgliedstaat oder auf dort ansässige Betroffene beschränkt, kann die lokale Behörde ebenfalls zuständig werden. Die praktische Abgrenzung ist komplex und sollte im Zweifelsfall anwaltlich geklärt werden, bevor die Meldung erstattet wird — sofern die Frist es erlaubt.
Bei Datenpannen mit Bezug zu Drittstaaten außerhalb der EU gelten zusätzliche Anforderungen, die sich aus den jeweiligen nationalen Rechtsordnungen ergeben. In Zusammenarbeit mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion können wir auch diese Situationen koordiniert abwickeln. Was in jedem Fall gilt: Die DSGVO-Meldung an die deutsche Behörde ist von etwaigen Parallelpflichten im Drittland unabhängig und läuft auf die 72-Stunden-Frist zu.
Entscheidungsmatrix: Meldepflicht, Benachrichtigungspflicht oder kein Handlungsbedarf?
Die Prüfung einer konkreten Datenpanne folgt in der Praxis einem strukturierten Entscheidungspfad. Eine Orientierungshilfe:
Konstellation A — Geringe Risikostufe: Verlust eines Notebooks mit vollständiger Festplattenverschlüsselung (BitLocker/FileVault, Schlüssel nicht kompromittiert), kein Netzwerkzugang des Geräts im fraglichen Zeitraum. → Kein Risiko für Betroffene nachweisbar. → Keine Meldung nach Art. 33 DSGVO erforderlich. → Pflicht: schriftliche Risikobewertung dokumentieren und intern ablegen (Art. 33 Abs. 5 DSGVO).
Konstellation B — Mittleres Risiko: Fehlversand einer E-Mail mit Kundenliste (Name, Adresse, Bestellnummer) an einen externen Empfänger, der die Weiterleitung unverzüglich bestätigt und die Daten löscht. → Risiko für Betroffene besteht (unbefugte Offenlegung), ist aber begrenzt. → Meldung an Aufsichtsbehörde binnen 72 Stunden (Art. 33). → Benachrichtigung der Betroffenen nach Art. 34 nur bei hohem Risiko im Einzelfall; bei einem einzigen Fehlempfänger und umgehender Löschungsbestätigung regelmäßig nicht erforderlich — Risikobewertung dokumentieren.
Konstellation C — Hohes Risiko: Ransomware-Angriff mit Exfiltration von Mitarbeiterdaten (inklusive IBAN, Sozialversicherungsnummer, Gesundheitsdaten). → Meldung an Aufsichtsbehörde binnen 72 Stunden (Art. 33). → Unverzügliche Benachrichtigung der betroffenen Mitarbeiter (Art. 34). → Frist: unverzüglich. → Zusätzlich prüfen: arbeitsrechtliche und sozialversicherungsrechtliche Mitteilungspflichten.
Dieser Entscheidungspfad ist keine abschließende rechtliche Beurteilung. Jeder Vorfall erfordert eine einzelfallbezogene Würdigung unter Einbeziehung der konkreten Datenarten, der Empfänger und der technischen Rahmenbedingungen.
Verwandte Leistungen
Häufige Fragen zur Datenpanne und Meldepflicht binnen 72 Stunden
Wann beginnt die 72-Stunden-Frist nach Art. 33 DSGVO genau?
Die Frist beginnt, sobald der Verantwortliche — oder eine intern zuständige Person — hinreichend sichere Kenntnis von einem Vorfall erlangt, der als Datenschutzverletzung qualifiziert werden kann. Ein bloßer Anfangsverdacht kann ausreichen. Es ist nicht erforderlich, dass der Umfang der Verletzung bereits vollständig ermittelt ist. Wer auf Vollständigkeit der Informationen wartet, bevor er intern reagiert, riskiert eine Fristversäumnis und damit ein Bußgeldverfahren.
Was passiert, wenn die 72 Stunden bereits abgelaufen sind, bevor wir von der Datenpanne erfahren haben?
Erlangt der Verantwortliche erst nach Ablauf von 72 Stunden Kenntnis, ist die Meldung dennoch unverzüglich nachzuholen. Art. 33 Abs. 1 Satz 2 DSGVO schreibt vor, dass bei einer Meldung nach 72 Stunden die Verzögerung zu begründen ist. Eine plausible, dokumentierte Erklärung — etwa verzögerte Kenntniserlangung durch einen Auftragsverarbeiter — kann bußgeldmindernd wirken. Entscheidend ist, dass die Meldung sofort nach eigenem Bekanntwerden erfolgt.
Muss jede Datenpanne gemeldet werden, auch wenn nur wenige Personen betroffen sind?
Nein. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen begründet. Die Anzahl der Betroffenen ist dabei ein Indikator, aber nicht das alleinige Kriterium. Entscheidend sind Art und Sensibilität der Daten, die technischen Schutzmaßnahmen und die Wahrscheinlichkeit eines tatsächlichen Schadens. Die Risikobewertung muss in jedem Fall schriftlich dokumentiert werden.
Was gilt, wenn unser IT-Dienstleister die Datenpanne verursacht hat?
Verarbeitet ein Dienstleister Daten im Auftrag nach Art. 28 DSGVO, bleibt das beauftragende Unternehmen als Verantwortlicher meldepflichtig. Der Dienstleister ist nach Art. 33 Abs. 2 DSGVO verpflichtet, den Verantwortlichen unverzüglich zu informieren. Die 72-Stunden-Frist des Verantwortlichen beginnt mit dessen eigenem Bekanntwerden. Enthält der AVV keine konkrete Meldefrist für den Dienstleister, besteht das Risiko, dass wertvolle Zeit verloren geht — und die Verantwortung bleibt beim Auftraggeber.
Welche Aufsichtsbehörde ist für unser Unternehmen zuständig?
Für deutsche Unternehmen richtet sich die Zuständigkeit nach dem Bundesland des Unternehmenssitzes. Bei einem einzigen deutschen Standort ist die jeweilige Landesdatenschutzbehörde zuständig. Sind mehrere EU-Mitgliedstaaten betroffen, gilt das One-Stop-Shop-Prinzip nach Art. 56 DSGVO: Die Behörde am Ort der Hauptniederlassung führt das Verfahren. Bei Unsicherheit empfiehlt sich eine schnelle anwaltliche Klärung vor der Meldung — soweit die verbleibende Frist dies erlaubt.
Kann die Meldung auch in Phasen erstattet werden?
Ja. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich eine gestufte Meldung. Eine fristgerechte Erstmeldung mit den zum Zeitpunkt verfügbaren Informationen genügt, um die Frist zu wahren. Fehlende Angaben sind dann unverzüglich nachzureichen. Dieses Instrument ist in der Praxis untergenutzt: Viele Unternehmen warten auf Vollständigkeit, anstatt sofort eine Teilmeldung zu erstatten und damit die Frist zu sichern.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Meldepflicht nach Art. 33 und 34. Ihr konkreter Vorfall erfordert die Prüfung der betroffenen Datenkategorien, der eingesetzten technischen Schutzmaßnahmen und der aktuellen Behördenpraxis. Für eine erste Durchsicht Ihrer Unterlagen und eine fristgerechte Reaktionsplanung erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.